分享此页面

# 步骤 4: 在 IdP 中将 ALM 注册为 SP

先决条件: 步骤 3: 部署 SSO 组件。

此步骤是从 IdP 端将 ALM 注册为 SP。配置详细信息因 IdP 而异。查看特定的 IdP 文档以获取更多信息。本主题包括最基本的任务。

如果使用 SAML2 作为联合身份验证协议

1. 创建使用 SAML2 作为客户端协议的客户端。

2. 获取 ALM SP 元数据并与 IdP 共享。

   1. 从目录“http(s)://{服务器}:{端口}/osp/a/alm/auth/saml2/sp-metadata”获取 SP 元数据。
   2. 将数据另存为 XML 文件。

   3. SP 元数据将在 IdP 配置中用于在 SP 和 IdP 之间建立信任关系。有关其他 IdP 设置, 请参阅 IdP 的文档。

3. 创建映射器以将由 IdP 在 SAML 断言中返回的用户属性映射到等效的 ALM 属性。

   确保将可以唯一标识 IdP 用户的 IdP 属性映射到 ALM 属性 IdentityKey。

   ALM 要求 NameID 格式应为 emailAddress。

   如果您将 ALM 属性映射到的 IdP 属性与在 SSO 配置工具 (步骤 4: 在 IdP 中将 ALM 注册为 SP) 中映射到的 IdP 属性不同, 则以 SSO 配置工具中的映射为准。例如, 如果在 SSO 配置工具中将 ALM 属性 ALMDescription 映射到字段 A, 则 ALM 将使用 SAML 断言中的字段 A 的值来更新 ALM 属性 ALMDescription。

   属性区分大小写。必须对 SAML 响应进行签名。

   有关示例, 请参见SAML 响应示例。

如果使用 OIDC 作为联合身份验证协议

1. 创建使用 OIDC 作为客户端协议的客户端。

2. 将 ALM SP 重定向 URI 作为有效的重定向 URI 添加到客户端。

   ALM SP 重定向 URI 的格式如下: `{通信模式}://{通信 FQDN}:{通信端口}/osp/a/{IdP ID} /auth/oauth2/landingpad`

3. 创建映射器以将由 IdP 在 OIDC 令牌中返回的用户属性映射到等效的 ALM 属性。

   确保将可以唯一标识 IdP 用户的 IdP 属性映射到 ALM 属性 IdentityKey。

   如果您将 ALM 属性映射到的 IdP 属性与在 SSO 配置工具 (步骤 4: 在 IdP 中将 ALM 注册为 SP) 中映射到的 IdP 属性不同, 则以 SSO 配置工具中的映射为准。例如, 如果在 SSO 配置工具中将 ALM 属性 ALMDescription 映射到字段 A, 则 ALM 将使用 OIDC 令牌中的字段 A 的值来更新 ALM 属性 ALMDescription。

SAML 响应示例

    <samlp:Response>
    	<saml:Assertion>
    ...
    ...
    ...
    		<saml:Subject>
    			<saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">sa@yopmail.com
                           </saml:NameID>
    			<saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
    				<saml:SubjectConfirmationData
    					InResponseTo="idhSHtlcKqu3Xn8CpOIRc658-cnAI"
    					NotOnOrAfter="2019-04-30T09:11:36.887Z"
    					Recipient="https://shcappsvm76.hpeswlab.net:9443/osp/a/alm/auth/saml2/
                                               spassertion_consumer"/>
    			</saml:SubjectConfirmation>
    		</saml:Subject>
    		<saml:Conditions NotBefore="2019-04-30T08:51:36.887Z" NotOnOrAfter="2019-04-30T08:52:36.887Z">
    			<saml:AudienceRestriction>
    				<saml:Audience>https://shcappsvm76.hpeswlab.net:9443/osp/a/alm/auth/saml2/metadata
                                   </saml:Audience>
    			</saml:AudienceRestriction>
    		</saml:Conditions>
    		<saml:AuthnStatement
    			AuthnInstant="2019-04-30T08:51:38.887Z"
    			SessionIndex="5e968b7c-c2ad-41e6-81fb-3feb38644bcf::dfb1c06f-89e1-42ca-a6b0-f3ff41bb2fbd">
    			<saml:AuthnContext>
    				<saml:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified
                                   </saml:AuthnContextClassRef>
    			</saml:AuthnContext>
    		</saml:AuthnStatement>
    		<saml:AttributeStatement>
    			<saml:Attribute
    				Friendly="IdentityKey" Name="IdentityKey"
    				NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:basic">
    				<saml:AttributeValue
    					xmlns:xs="http://www.w3.org/2001/XMLSchema"
    					xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">**
                                  </saml:AttributeValue>
    			</saml:Attribute>
    		</saml:AttributeStatement>
    	</saml:Assertion>
    </samlp:Response>

## 常见问题

问: IdP 应当将哪个值作为名称 ID 发送到 ALM?

答: ALM 需要断言属性 "IdentityKey"。ALM 使用它来唯一标识 IdP 用户。可唯一标识 IdP 用户的任何 IdP 属性 (例如电子邮件、通用 ID 或员工 ID) 都可以映射到 "IdentityKey"。

如果在 IdP 端更新了映射的唯一 IdP 属性的值, 则应在 ALM 端手动更新更改。在 15.0.1 中, 如果启用了自动用户配置, 则 IdP 用户信息更改将自动更新为找到的匹配 ALM 用户。

接下来的步骤:

- 步骤 5: 将 IdP 用户与 ALM 用户进行映射

https://admhelp.microfocus.com ALM 8942
改进搜索结果的提示... ALM 帮助中心 ALM 帮助中心 ALM 帮助 16.00 全部查看本地帮助中心查看联机帮助中心后退在浏览器历史记录中后退前进在浏览器历史记录中前进删除突出显示的搜索项下一个主题转到下一个主题上一个主题转到上一个主题打印当前主题版本: